Was passiert, wenn ich die NIS2-Anforderungen nicht erfülle

Aufsicht, Abhilfe und letztendlich eine Sanktion

Bei Nichterfüllung der NIS2-Verpflichtungen folgt in der Praxis zunächst Aufsicht und die Möglichkeit zur Abhilfe, und erst danach — wenn dies nicht geschieht — eine Sanktion durch die Aufsichtsbehörde. Das Cybersecurity Act, die niederländische Umsetzung von NIS2, gibt der Aufsichtsbehörde Instrumente an die Hand, um zu überprüfen, ob eine Organisation ihrer Sorgfaltspflicht und ihrer Meldepflicht nachkommt. Welche Aufsichtsbehörde genau zuständig ist, unterscheidet sich je nach Sektor; dies ist auf der Seite über dargelegt Welche Aufsichtsbehörde beaufsichtigt meinen Sektor unter der NIS2-Richtlinie. Bei Mängeln kann die Behörde Anweisungen erteilen, verbindliche Anordnungen erlassen oder in einem späteren Stadium zu Durchsetzungsmaßnahmen übergehen.

Was dies konkret bedeutet, hängt davon ab, was schiefgeht: das Fehlen der zehn obligatorischen Maßnahmen aus der Sorgfaltspflicht, eine Meldung, die zu spät oder gar nicht erfolgt, oder eine Lieferkette, die nicht bewertet wurde. Für die Meldepflicht gilt, dass es spezifische Anlässe gibt, bei denen gemeldet werden muss; das ist auf der Seite über Wann muss ich einen Cybersicherheitsvorfall bei der Aufsichtsbehörde meldenFür die Sorgfaltspflicht geht es um eine Reihe von Maßnahmen, die als Ganzes in Ordnung sein müssen, beschrieben auf der Seite über Welche zehn Maßnahmen muss ich nach der NIS2-Richtlinie ergreifenAuch stellt sich die separate Frage, ob die Geschäftsführung bei einer Zuwiderhandlung persönlich haftbar gemacht werden kann, die auf der Seite über behandelt wird Haftung von Geschäftsleitern bei einer NIS2-Verletzung.

Rechtsgrundlage in der Richtlinie und dem nationalen Gesetz

Die Verpflichtungen, die einer Aufsicht unterliegen, ergeben sich aus Artikel 21 der NIS2-Richtlinie, die die Sorgfaltspflicht mit den zehn Maßnahmen festlegt, und aus der davon unabhängigen Meldepflicht; das Cybersicherheitsgesetz setzt diese Verpflichtungen in niederländisches Recht um und regelt dabei auch die Befugnisse der Aufsichtsbehörde. Die genaue Ausgestaltung der Aufsicht und der Sanktionen ergibt sich aus diesem nationalen Gesetz und aus den Veröffentlichungen der Aufsichtsbehörden selbst, einschließlich des NCSC.